ISO 27701: kapcsolja össze az adatvédelem irányítását és a biztonságot

Az adatvédelem irányítása akkor működik a legjobban, ha az adatkezelési döntések, a védelmi intézkedések, az érintetti jogok kezelése és a beszállítói felelősségi körök összeillenek. Az ISO/IEC 27701 irányítási rendszerre épülő megközelítést ad ehhez a munkához: az adatvédelmi információirányítási rendszert (PIMS).

A technológiai igazgató számára a kihívás a dokumentált kötelezettségek és a rendszerek működésének összekapcsolása. Egy megőrzési szabályzatnak törlési folyamattá kell válnia; egy adatfeldolgozói kötelezettségvállalásnak korlátoznia kell a hozzáférést és az újrafelhasználást; egy adatvédelmi felülvizsgálatnak befolyásolnia kell a kiadásokat. A biztonsági kontrollok támogatják ezeket az eredményeket, de nem dönthetik el, hogy az adatkezelés indokolt-e.

Válassza ki a megfelelő kiadást és az IBIR-hez fűződő viszonyt

Az ISO/IEC 27701:2025 a második kiadás, amely önálló szabványként határozza meg a PIMS-re vonatkozó követelményeket. A korábbi, 2019-es kiadás az ISO 27001 és az ISO 27002 kiegészítése volt. Új megvalósítást ne arra a feltételezésre építsen, hogy az ISO 27001 tanúsítás mindig előfeltétel. Az alkalmazandó kiadást és az átmeneti szabályokat erősítse meg a tanúsító szervezetével.

Egy meglévő ISO 27001 szerinti IBIR továbbra is hasznos. Az irányítás, a kockázatkezelési folyamatok, a dokumentumkezelés, a belső auditok és a vezetőségi átvizsgálás mindkét rendszert támogathatja. Az ISO 27002 információbiztonsági kontrollokra vonatkozó útmutatást ad.

A célokat tartsa külön. A biztonság a bizalmasságot, a sértetlenséget és a rendelkezésre állást vizsgálja. Az adatvédelem emellett a célokat, az arányosságot, az átláthatóságot és az egyénekre gyakorolt következményeket is vizsgálja. Egy titkosított adatbázis is tartalmazhat szükségtelenül gyűjtött információkat. A biztonsági bizonyítékok újrafelhasználása észszerű; az adatvédelmi megfelelés bizonyítékaként kezelni őket azonban nem.

A hatókört az adatkezelés alapján határozza meg, ne csak az infrastruktúra alapján

Kezdje a PIMS által lefedett szolgáltatásokkal és tevékenységekkel. Vegye fel a támogató rendszereket, csapatokat, beszállítókat és interfészeket. Egy olyan határ, mint az „éles felhőkörnyezet”, nem elegendő, ha az ügyfélszolgálat személyes adatokat exportál egy különálló jegykezelő rendszerbe.

Minden tevékenységnél dokumentálja:

• A célt, a személyes adatok kategóriáit és az érintett személyek csoportjait.
• Az adatkezelői vagy adatfeldolgozói szerepkört, beleértve azokat a tevékenységeket is, ahol a szerepkörök eltérnek.
• A gyűjtés forrásait, a címzetteket, a tárolási helyeket és az adattovábbítási útvonalakat.
• A megőrzési szabályokat, a törlés működését, a felelősöket és az alkalmazandó kötelezettségeket.

A szerepkörök az adatkezelési tevékenységtől függenek, nem egyszerűen a vállalat identitásától. Egy szoftverszolgáltató az ügyfelek által feltöltött adatokat az ügyfél utasításai szerint kezelheti, miközben saját számlázási nyilvántartásai tekintetében adatkezelőként jár el. Ezekhez a tevékenységekhez eltérő döntési útvonalak kellenek.

A mérnöki, termékfejlesztési, adatvédelmi, beszerzési és működési felelősségi köröket kifejezetten jelölje ki. Ha adatvédelmi tisztviselő kinevezése kötelező, vagy kineveztek ilyet, őrizze meg független tanácsadói és ellenőrzési szerepét, ahelyett hogy őt tenné felelőssé az adatkezelési célok megválasztásáért. A GDPR tartalmazza az adatkezelőre, az adatfeldolgozóra és az adatvédelmi tisztviselőre vonatkozó kötelezettségeket.

Értékelje az adatvédelmi kockázatokat a biztonsági kockázatokkal együtt

Az adatkezelési nyilvántartás segítségével azonosítsa az egyéneket érő károkat és a szervezet kitettségét is. A jogosulatlan hozzáférés számít, de ugyanígy a túlzott gyűjtés, a váratlan újrafelhasználás, a pontatlan rekordok, az elérhetetlen érintetti joggyakorlási eljárások és a megállapított szükségleten túli megőrzés is.

Egy gyakorlati értékelésnek minden kockázatot össze kell kapcsolnia egy tevékenységgel, következménnyel, meglévő védelmi intézkedéssel, kezeléssel, elszámoltatható felelőssel és felülvizsgálatot kiváltó eseménnyel. Rögzítse, miért fogadják el a fennmaradó kockázatot, vagy miért van szükség további munkára.

Vegyünk egy jelentéskészítő funkciót, amely munkavállalói teljesítményadatokat exportál. A hitelesítés és a hozzáférések naplózása a biztonsági aggályokat kezeli. Az adatvédelmi elemzésnek azt is vizsgálnia kell, hogy az export tartalmaz-e szükségtelen mezőket, feltár-e érzékeny következtetéseket, vagy lehetővé tesz-e a megadott céllal össze nem egyeztethető felhasználásokat.

Egy PIMS-értékelés támogathatja a jogi értékelési munkát, de nem teljesíti automatikusan minden joghatóság követelményeit. A GDPR 35. cikke szerint a valószínűsíthetően magas kockázattal járó adatkezeléshez adatvédelmi hatásvizsgálat szükséges. Ezt a küszöböt külön értékelje, és őrizze meg a döntést és az esetlegesen szükséges hatásvizsgálatot.

Fordítsa a kötelezettségeket tesztelhető kontrollokká

Kerülje az olyan adatvédelmi szabályzatot, amelyet a mérnöki terület nem tud megvalósítani. Minden kötelezettséghez határozza meg a rendszer elvárt működését és az ezt igazoló bizonyítékot. Az alábbiak gyakorlati megvalósítási példák, nem általánosan kötelező kontrollkészlet.

A titkosítás, a legkisebb jogosultság elve, a naplózás és a helyreállítás továbbra is fontos közös védelmi intézkedések. Az intézkedéseket a kockázat szerint válassza meg: a GDPR 32. cikke nem ír elő minden helyzetben általános titkosítást. Dokumentálja a kulcsokhoz való hozzáférés, a helyreállítás és a törlés korlátait, ahol ezek befolyásolják az adatvédelmi eredményeket. A megvalósítási szempontokhoz lásd: titkosítás és kulcskezelés.

Építsen olyan működési eljárásokat, amelyek valós esetekben is megállják a helyüket

Az érintetti jogok kezeléséhez beérkezési útvonal, felelős, arányos személyazonosság-ellenőrzés, rendszerkeresések, harmadik felek adatainak felülvizsgálata és biztonságos átadás szükséges. A GDPR szerint a válaszadás határideje általában egy hónap; a megengedett hosszabbításról ezen első hónapon belül tájékoztatást kell adni. Olyan esetrekordokat vezessen, amelyek megmagyarázzák a döntéseket, ne csak a lezárt jegyek számát. Egy érintetti hozzáférési munkafolyamatnak a manuális rendszerekre és a beszállítói segítségnyújtásra is ki kell terjednie.

Az incidenskezelésnek meg kell különböztetnie a műszaki megfékezést az adatvédelmi bejelentési döntésektől. A GDPR szerint az adatfeldolgozók indokolatlan késedelem nélkül értesítik az adatkezelőket. Az adatkezelők indokolatlan késedelem nélkül, és ha lehetséges, a tudomásszerzést követő 72 órán belül értékelik a felügyeleti hatóság értesítését, kivéve, ha az incidens valószínűleg nem jár kockázattal a természetes személyek jogaira és szabadságaira nézve. Rögzítse a bejelentés mellőzésének indoklását, és értékelje, hogy a magas kockázat miatt szükséges-e az érintettek tájékoztatása.

A beszállítói eljárásoknak vizsgálniuk kell az utasításokat, a további adatfeldolgozókat, a kérelmekkel és incidensekkel kapcsolatos segítségnyújtást, az adatok visszaadását vagy törlését, valamint a bizonyítékokhoz való hozzáférést. Ahol a GDPR alkalmazandó, a 28. cikk szerinti szerződéseknek meghatározott kötelező elemei vannak. Egy beszállítói tanúsítvány kiegészítő bizonyosságot nyújt, de nem helyettesíti ezeket a feltételeket.

A nemzetközi adattovábbítások külön jogi értékelést igényelnek. Az ISO 27701 tanúsítás nem engedélyezi őket, és nem semlegesíti a megfigyelési kockázatokat. Dokumentálja az alkalmazandó mechanizmust, értékelje annak feltételeit, és szükség esetén vezessen be kiegészítő intézkedéseket. Önmagában az adatok tárolási helye nem igazolja a megfelelést.

Kidolgozott példa: ügyfélszolgálati szolgáltatás

Tegyük fel szemléltetésként, hogy egy SaaS-szolgáltató az ügyfelek utasításai szerint kezeli az ügyfélszolgálati üzeneteket, saját ügyfélkapcsolati rekordjai tekintetében pedig adatkezelő. Mindkét tevékenység ugyanazt az ügyfélszolgálati platformot használja.

A csapat feltérképezi az üzenetek tartalmát, a mellékleteket, a fiókazonosítókat, a beszállítói hozzáférést és az exportok célhelyeit. Kiderül, hogy egy hibakeresési export a teljes üzeneteket egy hosszabb megőrzési idejű mérnöki munkaterületre másolja.

A kezelés konkrét: a teljes üzenetexportokat minimalizált diagnosztikai mezőkre cserélik, a kivételes hozzáférést korlátozzák, jóváhagyott megőrzési időt alkalmaznak, és rögzítik, ki engedélyezi a kivételeket. Tesztelik, hogy a rutinszerű exportok nem tartalmazzák az üzenetek szövegét, és hogy a lejárt diagnosztikai rekordok törlődnek.

A bizonyítékcsomag tartalmazza az adatkezelési nyilvántartást, a szerepkör-értékelést, a beszállítói feltételeket, a kockázati döntést, a konfigurációt, a teszteredményeket és a jóváhagyási előzményeket. A közös hozzáférés-szabályozási felülvizsgálat a biztonságot és az adatvédelmet is támogatja, míg az export céljáról szóló döntés adatvédelem-specifikus marad.

Készüljön fel a tanúsításra működési bizonyítékokkal

A tanúsítást független tanúsító szervezet végzi, nem az ISO. Az értékelés ütemezése előtt erősítse meg a hatókört, a kiadást, az auditmódszert és a bizonyítékokra vonatkozó elvárásokat. Egy tipikus első tanúsítási folyamat felkészültségi és dokumentációs felülvizsgálatból, majd a megvalósítás értékeléséből áll; a részleteket a kiválasztott szervezettel egyeztesse.

Végezzen belső auditot az alkalmazandó követelmények és a saját eljárásai alapján. Vegyen mintát az adatkezelési tevékenységekből, az érintetti ügyekből, a beszállítói döntésekből, a megőrzés végrehajtásából és a termékváltozásokból. Különböztesse meg a hiányzó dokumentumot attól a kontrolltól, amely létezik, de a működésben nem válik be.

A vezetőségi átvizsgálásnak figyelembe kell vennie a megállapításokat, a kezeletlen kockázatokat, a változásokat, a teljesítményt és az erőforrásokat. A korrekciós intézkedésekhez felelős, a teljesítés bizonyítéka és hatékonysági ellenőrzés szükséges. A tanúsítás bizonyosságot nyújthat a meghatározott hatókörű irányítási rendszerről, de nem igazolja a GDPR-megfelelést, nem teremt jogalapot, és nem terjed ki a hatókörön kívüli tevékenységekre.

Kezdjen egyetlen nyomon követhető adatkezelési tevékenységgel

Válasszon ki egy tevékenységet, kövesse végig adatait a kapcsolódó rendszereken és beszállítókon, és minden lényeges kötelezettséget kapcsoljon egy felelőshöz, védelmi intézkedéshez és döntési előzményhez. A releváns változások után vizsgálja felül, ne várjon a következő auditig.

A Secani ezt a bizonyítéki munkafolyamatot azzal támogatja, hogy összekapcsolja a követelményeket, kontrollokat, rendszereket, bizonyítékokat és felülvizsgálati döntéseket. A csapatok a közös IBIR-bizonyítékokat az adatvédelem-specifikus döntések mellett őrizhetik meg, a hiányosságokat kiosztott feladatokká alakíthatják, és megőrizhetik az MI által támogatott javaslatok emberi jóváhagyását. Az első hasznos eredménytermék egy felülvizsgált lánc az adatkezelési céltól a megvalósított védelmi intézkedésen át az alátámasztó bizonyítékig.